Waran Carian Kecemasan Palsu Menjadi Masalah

Lindungi perniagaan anda dengan CyberHoot Today!!!

Daftar Sekarang

Terdapat strategi yang membimbangkan dan sangat berkesan yang kini digunakan oleh penggodam jenayah untuk mengumpul data pelanggan sensitif daripada Pembekal Perkhidmatan Internet (ISP), syarikat telefon dan firma media sosial. Strategi ini melibatkan penjejasan akaun e-mel dan tapak web yang terikat dengan jabatan polis dan agensi kerajaan, dan kemudian menghantar "Permintaan Data Kecemasan" yang tidak dibenarkan untuk data pelanggan di mana maklumat yang diminta tidak dapat menunggu perintah mahkamah kerana ia berkaitan dengan perkara hidup dan mati.

Permintaan Data Kecemasan

Di Amerika Syarikat, apabila agensi penguatkuasa undang-undang persekutuan, negeri atau tempatan ingin mendapatkan maklumat tentang siapa yang memiliki akaun di firma media sosial, atau alamat Internet yang digunakan oleh akaun telefon bimbit tertentu pada masa lalu, mereka mesti menyerahkan waran atau sepina rasmi yang diperintahkan mahkamah. Hampir semua syarikat teknologi utama dan Pembekal Perkhidmatan Internet (ISP) mempunyai jabatan yang secara rutin menyemak dan memproses permintaan tersebut. Permintaan sedemikian hanya diberikan setelah dokumentasi yang betul disediakan dan identiti peminta disahkan di luar jalur (bukan daripada e-mel yang meminta data) sebagai milik jabatan polis atau agensi penguatkuasaan undang-undang sebenar.

Walau bagaimanapun, seperti kebanyakan serangan pancingan data yang mewujudkan rasa terdesak yang kritikal dengan harapan ia menjadi pemangkin tindakan di pihak mangsa, penggodam membuat permintaan data daripada organisasi-organisasi ini dengan mendakwa bahaya atau kematian yang akan berlaku akibat tidak bertindak. Banyak kali, pegawai penyiasat yang sah membuat apa yang dikenali sebagai "Permintaan Data Kecemasan" (EDR), yang pada asasnya memintas sebarang semakan rasmi dan tidak memerlukan pemohon untuk membekalkan sebarang dokumen yang diluluskan mahkamah. Jika syarikat teknologi tidak mengesahkan pemohon dalam keadaan sedemikian, penggodam menang dan mendapat data penting yang diperlukan untuk menjalankan serangan mereka.

Strategi Penggodam

Penggodam telah mendapati bahawa tiada cara cepat dan mudah untuk syarikat yang menerima salah satu EDR ini mengetahui sama ada ia sah. Menggunakan akses tanpa kebenaran kepada sistem e-mel polis atau akaun individu, penggodam akan menghantar permintaan EDR palsu bersama-sama dengan nota yang menyatakan 'potensi orang yang tidak bersalah menderita atau mati wujud di sini melainkan permintaan data ini diproses dengan segera'.

Dalam senario ini, syarikat penerima mendapati dirinya terperangkap di antara dua hasil: gagal mematuhi EDR dengan segera dan berkemungkinan mempunyai darah seseorang di tangan mereka, atau mungkin membocorkan rekod pelanggan kepada orang yang salah.

Lebih rumit lagi, terdapat puluhan ribu bidang kuasa polis di seluruh dunia. Dengan lebih daripada 18,000 di Amerika Syarikat sahaja, penggodam hanya perlu mengakses satu akaun e-mel polis untuk berjaya. Dalam kes lain, mereka menceroboh keseluruhan pelayan e-mel dan mempunyai akses kepada semua trafik e-mel yang berlaku di kawasan tertentu.

Apa yang boleh dibuat?

Penggubal undang-undang di Washington, DC, telah memperkenalkan Rang Undang-Undang Untuk Membanteras Perintah Mahkamah Palsu yang akan menambah baik sistem semasa yang sedia ada untuk menghantar EDR. Ia akan mewajibkan semua mahkamah persekutuan, negeri dan puak untuk menggunakan tandatangan digital bagi perintah yang membenarkan pengawasan, penyitaan domain dan penyingkiran kandungan dalam talian. Tandatangan digital menggunakan teknologi penyulitan untuk membuktikan kesahihan dokumen dan data lain, yang digunakan secara meluas oleh sektor swasta, cabang eksekutif dan perundangan. Rang undang-undang ini menyediakan pembiayaan untuk mahkamah negeri dan puak untuk menerima pakai teknologi tandatangan digital yang tersedia secara meluas yang memenuhi piawaian yang dibangunkan oleh Institut Piawaian dan Teknologi Kebangsaan.

Sehingga sesuatu seperti itu dilaksanakan dan dilaksanakan, terdapat tindakan yang boleh diambil oleh syarikat anda untuk mengesahkan kesahihan permintaan data ini:

1. Pengesahan Berasaskan Telefon: Pegawai Perlindungan Data (DPO) organisasi anda atau seseorang yang bekerja dalam peranan yang serupa mesti menyelidik agensi Penguatkuasa Undang-undang yang membuat permintaan dan membuat panggilan telefon kepada Penyelia atau jabatan Peminta untuk mengesahkan identiti peminta dan kesahihan permintaan itu sendiri. Penjagaan mesti diambil untuk menyelidik nombor telefon entiti yang betul dan tidak menggunakan nombor yang terdapat pada borang permintaan atau e-mel kerana kedua-duanya boleh ditipu oleh penipu.
2. Pengesahan Sendiri Dokumentari Terbitan Kerajaan: Pemohon boleh memberikan ID yang dikeluarkan kerajaan secara peribadi kepada DPO untuk mengesahkan identiti mereka. Kaedah bata-dan-mortar ini memerlukan semakan kad pengenalan atau dokumen yang dikeluarkan kerajaan, bagaimanapun, adalah bijak untuk menghubungi pejabat Ejen Penguatkuasa Undang-undang untuk mengesahkan permintaan itu. Kaedah ini hanya perlu jika Agen Penguatkuasa Undang-undang memerlukan maklumat segera di mana masa adalah penting.
3. Notari: Pemohon boleh memberikan dokumen disahkan kepada syarikat atau DPO untuk mengesahkan identiti mereka. Kaedah ini memerlukan Notari untuk memeriksa kad pengenalan atau dokumen yang dikeluarkan kerajaan dan mengesahkan pemeriksaan visual tersebut secara bertulis. Sebaik-baiknya, kaedah ini akan digabungkan dengan #1 di atas – pengesahan berasaskan telefon untuk diberikan berasaskan dua faktor pengesahan identiti. Walau bagaimanapun, ia tidak diperlukan berdasarkan protokol semasa dalam GDPR atau CCPA (walaupun ia sepatutnya DAN adalah perkara yang dilakukan oleh pengamal CyberHoot vCISO).

Setelah ini dilakukan, langkah tambahan boleh diambil untuk mengesahkan kesahihan permintaan, termasuk memeriksa item berikut: 

1. Adakah alamat e-mel penghantaran untuk permintaan ini tepat dan sesuai (95% daripada permintaan ini datang daripada alamat e-mel .gov)?
2. Adakah Meterai Kerajaan betul? Jika ini kali pertama anda melihat Meterai, sila Google Meterai agensi itu untuk rujukan dan pengesahan.
3. Semak tarikh permintaan untuk memastikan ia masih sah SUBPOENA berkuat kuasa dan/atau permintaan FISA kerana permintaan ini tamat tempoh.

Setelah permintaan telah disahkan sebagai sah dan sahih, organisasi anda boleh mengambil tindakan dan melengkapkan permintaan seperti yang diperlukan. 

Syor Keselamatan Siber Tambahan

Selain itu, cadangan di bawah akan membantu anda dan perniagaan anda kekal selamat dengan pelbagai ancaman yang mungkin anda hadapi setiap hari. Semua cadangan yang disenaraikan di bawah boleh didapati dengan mengupah perkhidmatan pembangunan Program vCISO CyberHoot.

1. Mentadbir pekerja dengan dasar dan prosedur. Anda memerlukan dasar kata laluan, dasar penggunaan yang boleh diterima, dasar pengendalian maklumat dan program keselamatan maklumat bertulis (WISP) sekurang-kurangnya.
2. Latih pekerja tentang cara mengesan dan mengelak serangan phishing. Gunakan sistem Pengurusan Pembelajaran seperti CyberHoot untuk mengajar pekerja kemahiran yang mereka perlukan untuk menjadi lebih yakin, produktif dan selamat.
3. Uji pekerja dengan serangan Phishing untuk berlatih. Ujian Phish CyberHoot membolehkan perniagaan menguji pekerja dengan serangan pancingan data yang boleh dipercayai dan meletakkan mereka yang gagal dalam latihan pancingan data pemulihan.
4. Gunakan teknologi keselamatan siber kritikal termasuk pengesahan dua faktor pada semua akaun kritikal. Dayakan penapisan SPAM e-mel, sahkan sandaran dan gunakan perlindungan DNS, antivirus, dan anti-perisian hasad pada semua titik akhir anda.
5. Dalam era Kerja-dari-Rumah moden, pastikan anda mengurus peranti peribadi yang menyambung ke rangkaian anda dengan mengesahkan keselamatannya (menampal, antivirus, perlindungan DNS, dll) atau melarang penggunaannya sepenuhnya.
6. Jika anda tidak mempunyai penilaian risiko oleh pihak ke-3 dalam tempoh 2 tahun yang lalu, anda sepatutnya mempunyainya sekarang. Mewujudkan rangka kerja pengurusan risiko dalam organisasi anda adalah penting untuk menangani risiko paling teruk anda dengan masa dan wang anda yang terhad.
7. Beli Insurans Siber untuk melindungi anda dalam situasi kegagalan yang dahsyat. Insurans Siber tidak berbeza dengan insurans Kereta, Kebakaran, Banjir atau Nyawa. Ia ada apabila anda amat memerlukannya.

Semua cadangan ini terbina dalam produk CyberHoot atau Perkhidmatan vCISO CyberHoot. Dengan CyberHoot, anda boleh mentadbir, melatih, menilai dan menguji pekerja anda. Lawati CyberHoot.com dan daftar untuk perkhidmatan kami hari ini. Sekurang-kurangnya terus belajar dengan mendaftar dalam surat berita Keselamatan Siber bulanan kami untuk mengikuti kemas kini keselamatan siber semasa.

Sumber:

Penggodam Mendapat Kuasa Sepina Melalui "Permintaan Data Kecemasan" Palsu

Wyden, Tillis dan Whitehouse Memperkenalkan Rang Undang-Undang Dwipartisan Untuk Membanteras Perintah Mahkamah Palsu

Membaca tambahan: 

Apple, Meta dan Discord Semua Data Pengguna diserahkan kepada Penggodam. Sekarang Apa?